基于Springboot集成security、oauth2实现认证鉴权、资源管理 - 丰哥坑到

1、Oauth2简介

　　OAuth（开放授权）是一个开放标准，允许用户授权第三方移动应用访问他们存储在另外的服务提供者上的信息，而不需要将用户名和密码提供给第三方移动应用或分享他们数据的所有内容，OAuth2.0是OAuth协议的延续版本，但不向后兼容OAuth 1.0即完全废止了OAuth1.0。

2、Oauth2服务器

授权服务器 Authorization Service.
资源服务器 Resource Service.

授权服务器

　　授权服务器，即服务提供商专门用来处理认证的服务器。在这里简单说一下，主要的功能；

　　1、通过请求获得令牌（Token），默认的URL是/oauth/token.

　　2、根据令牌(Token)获取相应的权限.

资源服务器

　　资源服务器托管了受保护的用户账号信息，并且对接口资源进行用户权限分配及管理，简单的说，就是某个接口(/user/add)，我限制只能持有管理员权限的用户才能访问，那么普通用户就没有访问的权限。

以下摘自百度百科图:

3、Demo实战加代码详解

前面我是简单地介绍了一下oauth2的一些基本概念，关于oauth2的深入介绍，可以去搜索更多其它相关oauth2的博文，在这里推荐一篇前辈的博文https://www.cnblogs.com/Wddpct/p/8976480.html，里面有详细的oauth2介绍，包括原理、实现流程等都讲得比较详细。我的课题，是主要是以实战为主，理论的东西我不想介绍太多，这里是我个人去根据自己的业务需求去改造的，存在很多可优化的点，希望大家可以指出和给予我一些宝贵意见。

　　接下来开始介绍我的代码流程吧!　

准备

新建一个springboot项目，引入以下依赖。

 1 <dependencies>
 2         <dependency>
 3             <groupId>org.springframework.boot</groupId>
 4             <artifactId>spring-boot-starter</artifactId>
 5         </dependency>
 6         <dependency>
 7             <groupId>org.springframework.boot</groupId>
 8             <artifactId>spring-boot-starter-test</artifactId>
 9             <scope>test</scope>
10         </dependency>
11 
12         <!--web依赖-->
13         <dependency>
14             <groupId>org.springframework.boot</groupId>
15             <artifactId>spring-boot-starter-web</artifactId>
16         </dependency>
17 
18         <!--redis依赖-->
19        <dependency>
20             <groupId>org.springframework.boot</groupId>
21             <artifactId>spring-boot-starter-data-redis</artifactId>
22         </dependency>
23 
24         <!--sl4f日志框架-->
25         <dependency>
26             <groupId>org.projectlombok</groupId>
27             <artifactId>lombok</artifactId>
28         </dependency>
29 
30         <!--security依赖-->
31         <dependency>
32             <groupId>org.springframework.boot</groupId>
33             <artifactId>spring-boot-starter-security</artifactId>
34         </dependency>
35         <!--oauth2依赖-->
36         <dependency>
37             <groupId>org.springframework.security.oauth</groupId>
38             <artifactId>spring-security-oauth2</artifactId>
39             <version>2.3.3.RELEASE</version>
40         </dependency>
41 
42         <!--JPA数据库持久化-->
43         <dependency>
44             <groupId>mysql</groupId>
45             <artifactId>mysql-connector-java</artifactId>
46             <version>5.1.47</version>
47             <scope>runtime</scope>
48         </dependency>
49         <dependency>
50             <groupId>org.springframework.boot</groupId>
51             <artifactId>spring-boot-starter-data-jpa</artifactId>
52         </dependency>
53 
54         <!--json工具-->
55         <dependency>
56             <groupId>com.alibaba</groupId>
57             <artifactId>fastjson</artifactId>
58             <version>1.2.47</version>
59         </dependency>
60     </dependencies>

项目目录结构

接口

这里我只编写了一个AuthController，里面基本所有关于用户管理及登录、注销的接口我都定义出来了。

AuthController代码如下：

  1 package com.unionman.springbootsecurityauth2.controller;
  2 
  3 import com.unionman.springbootsecurityauth2.dto.LoginUserDTO;
  4 import com.unionman.springbootsecurityauth2.dto.UserDTO;
  5 import com.unionman.springbootsecurityauth2.service.RoleService;
  6 import com.unionman.springbootsecurityauth2.service.UserService;
  7 import com.unionman.springbootsecurityauth2.utils.AssertUtils;
  8 import com.unionman.springbootsecurityauth2.vo.ResponseVO;
  9 import lombok.extern.slf4j.Slf4j;
 10 import org.springframework.beans.factory.annotation.Autowired;
 11 import org.springframework.security.oauth2.provider.token.store.redis.RedisTokenStore;
 12 import org.springframework.validation.annotation.Validated;
 13 import org.springframework.web.bind.annotation.*;
 14 
 15 import javax.validation.Valid;
 16 
 17 /**
 18  * @description 用户权限管理
 19  * @author Zhifeng.Zeng
 20  * @date 2019/4/19 13:58
 21  */
 22 @Slf4j
 23 @Validated
 24 @RestController
 25 @RequestMapping("/auth/")
 26 public class AuthController {
 27 
 28     @Autowired
 29     private UserService userService;
 30 
 31     @Autowired
 32     private RoleService roleService;
 33 
 34     @Autowired
 35     private RedisTokenStore redisTokenStore;
 36 
 37     /**
 38      * @description 添加用户
 39      * @param userDTO
 40      * @return
 41      */
 42     @PostMapping("user")
 43     public ResponseVO add(@Valid @RequestBody UserDTO userDTO){
 44         userService.addUser(userDTO);
 45         return ResponseVO.success();
 46     }
 47 
 48     /**
 49      * @description 删除用户
 50      * @param id
 51      * @return
 52      */
 53     @DeleteMapping("user/{id}")
 54     public ResponseVO deleteUser(@PathVariable("id")Integer id){
 55         userService.deleteUser(id);
 56         return ResponseVO.success();
 57     }
 58 
 59     /**
 60      * @descripiton 修改用户
 61      * @param userDTO
 62      * @return
 63      */
 64     @PutMapping("user")
 65     public ResponseVO updateUser(@Valid @RequestBody UserDTO userDTO){
 66         userService.updateUser(userDTO);
 67         return ResponseVO.success();
 68     }
 69 
 70     /**
 71      * @description 获取用户列表
 72      * @return
 73      */
 74     @GetMapping("user")
 75     public ResponseVO findAllUser(){
 76         return userService.findAllUserVO();
 77     }
 78 
 79     /**
 80      * @description 用户登录
 81      * @param loginUserDTO
 82      * @return
 83      */
 84     @PostMapping("user/login")
 85     public ResponseVO login(LoginUserDTO loginUserDTO){
 86         return userService.login(loginUserDTO);
 87     }
 88 
 89 
 90     /**
 91      * @description 用户注销
 92      * @param authorization
 93      * @return
 94      */
 95     @GetMapping("user/logout")
 96     public ResponseVO logout(@RequestHeader("Authorization") String authorization){
 97         redisTokenStore.removeAccessToken(AssertUtils.extracteToken(authorization));
 98         return ResponseVO.success();
 99     }
100 
101     /**
102      * @description 用户刷新Token
103      * @param refreshToken
104      * @return
105      */
106     @GetMapping("user/refresh/{refreshToken}")
107     public ResponseVO refresh(@PathVariable(value = "refreshToken") String refreshToken){
108         return userService.refreshToken(refreshToken);
109     }
110 
111 
112     /**
113      * @description 获取所有角色列表
114      * @return
115      */
116     @GetMapping("role")
117     public ResponseVO findAllRole(){
118         return roleService.findAllRoleVO();
119     }
120 
121 
122 }

　　这里所有的接口功能，我都已经在业务代码里实现了，后面相关登录、注销、及刷新token的等接口的业务实现的内容我会贴出来。接下来我需要讲解的是关于oath2及security的详细配置。

注意一点：这里没有角色的增删改功能，只有获取角色列表功能，为了节省时间，我这里的角色列表是项目初始化阶段，直接生成的固定的两个角色，分别是ROLE_USER(普通用户)、ROLE_ADMIN(管理员)；同时初始化一个默认的管理员。

springbootsecurityauth.sql脚本如下：

 1 SET NAMES utf8;
 2 SET FOREIGN_KEY_CHECKS = 0;
 3 /**
 4 初始化角色信息
 5  */
 6  CREATE TABLE IF NOT EXISTS `um_t_role`(
 7 `id` INT(11) PRIMARY KEY AUTO_INCREMENT ,
 8  `description` VARCHAR(255) CHARACTER SET utf8 COLLATE utf8_general_ci NULL DEFAULT NULL,
 9  `created_time` BIGINT(20) NOT NULL,
10  `name` VARCHAR(255) CHARACTER SET utf8 COLLATE utf8_general_ci NOT NULL,
11  `role` VARCHAR(255) CHARACTER SET utf8 COLLATE utf8_general_ci NOT NULL
12 );
13 INSERT IGNORE INTO `um_t_role`(id,`name`,description,created_time,role) VALUES(1,'管理员','管理员拥有所有接口操作权限',UNIX_TIMESTAMP(NOW()),'ADMIN'),(2,'普通用户','普通拥有查看用户列表与修改密码权限，不具备对用户增删改权限',UNIX_TIMESTAMP(NOW()),'USER');
14 
15 /**
16 初始化一个默认管理员
17  */
18  CREATE TABLE IF NOT EXISTS `um_t_user`(
19 `id` INT(11) PRIMARY KEY AUTO_INCREMENT ,
20  `account` VARCHAR(255) CHARACTER SET utf8 COLLATE utf8_general_ci NULL DEFAULT NULL,
21  `description` VARCHAR(255) CHARACTER SET utf8 COLLATE utf8_general_ci NULL DEFAULT NULL,
22  `password` VARCHAR(255) CHARACTER SET utf8 COLLATE utf8_general_ci NULL DEFAULT NULL,
23  `name` VARCHAR(255) CHARACTER SET utf8 COLLATE utf8_general_ci NOT NULL
24 );
25 INSERT IGNORE INTO `um_t_user`(id,account,`password`,`name`,description) VALUES(1,'admin','123456','小小丰','系统默认管理员');
26 
27 /**
28 关联表赋值
29  */
30 CREATE TABLE IF NOT EXISTS `um_t_role_user`(
31 `role_id` INT(11),
32  `user_id` INT(11)
33 );
34 INSERT IGNORE INTO `um_t_role_user`(role_id,user_id)VALUES(1,1);

配置

application.yml文件：

 1 server:
 2   port: 8080
 3 spring:
 4   # mysql 配置
 5   datasource:
 6       url: jdbc:mysql://localhost:3306/auth_test?useUnicode=true&characterEncoding=UTF-8&useSSL=false
 7       username: root
 8       password: 123456
 9       schema: classpath:springbootsecurityauth.sql
10       sql-script-encoding: utf-8
11       initialization-mode: always
12       driver-class-name: com.mysql.jdbc.Driver
13       # 初始化大小，最小，最大
14       initialSize: 1
15       minIdle: 3
16       maxActive: 20
17      # 配置获取连接等待超时的时间
18       maxWait: 60000
19       # 配置间隔多久才进行一次检测，检测需要关闭的空闲连接，单位是毫秒
20       timeBetweenEvictionRunsMillis: 60000
21       # 配置一个连接在池中最小生存的时间，单位是毫秒
22       minEvictableIdleTimeMillis: 30000
23       validationQuery: select 'x'
24       testWhileIdle: true
25       testOnBorrow: false
26       testOnReturn: false
27       # 打开PSCache，并且指定每个连接上PSCache的大小
28       poolPreparedStatements: true
29       maxPoolPreparedStatementPerConnectionSize: 20
30       # 配置监控统计拦截的filters，去掉后监控界面sql无法统计，'wall'用于防火墙
31       filters: stat,wall,slf4j
32       # 通过connectProperties属性来打开mergeSql功能；慢SQL记录
33       connectionProperties: druid.stat.mergeSql=true;druid.stat.slowSqlMillis=5000
34 #redis 配置
35   redis:
36     open: true # 是否开启redis缓存  true开启   false关闭
37     database: 1
38     host: localhost
39     port: 6379
40     timeout: 5000s  # 连接超时时长（毫秒）
41     jedis:
42       pool:
43         max-active: 8 #连接池最大连接数（使用负值表示没有限制）
44         max-idle: 8  #连接池中的最大空闲连接
45         max-wait: -1s #连接池最大阻塞等待时间（使用负值表示没有限制)
46         min-idle: 0  #连接池中的最小空闲连接
47 
48 # jpa 配置
49   jpa:
50     database: mysql
51     show-sql: false
52     hibernate:
53       ddl-auto: update
54     properties:
55       hibernate:
56         dialect: org.hibernate.dialect.MySQL5Dialect

资源服务器与授权服务器

编写类Oauth2Config,实现资源服务器与授权服务器，这里的资源服务器与授权服务器以内部类的形式实现。

Oauth2Config代码如下：

  1 package com.unionman.springbootsecurityauth2.config;
  2 
  3 import com.unionman.springbootsecurityauth2.handler.CustomAuthExceptionHandler;
  4 import org.springframework.beans.factory.annotation.Autowired;
  5 import org.springframework.context.annotation.Bean;
  6 import org.springframework.context.annotation.Configuration;
  7 import org.springframework.data.redis.connection.RedisConnectionFactory;
  8 import org.springframework.http.HttpMethod;
  9 import org.springframework.security.authentication.AuthenticationManager;
 10 import org.springframework.security.config.annotation.web.builders.HttpSecurity;
 11 import org.springframework.security.config.http.SessionCreationPolicy;
 12 import org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder;
 13 import org.springframework.security.oauth2.config.annotation.configurers.ClientDetailsServiceConfigurer;
 14 import org.springframework.security.oauth2.config.annotation.web.configuration.AuthorizationServerConfigurerAdapter;
 15 import org.springframework.security.oauth2.config.annotation.web.configuration.EnableAuthorizationServer;
 16 import org.springframework.security.oauth2.config.annotation.web.configuration.EnableResourceServer;
 17 import org.springframework.security.oauth2.config.annotation.web.configuration.ResourceServerConfigurerAdapter;
 18 import org.springframework.security.oauth2.config.annotation.web.configurers.AuthorizationServerEndpointsConfigurer;
 19 import org.springframework.security.oauth2.config.annotation.web.configurers.AuthorizationServerSecurityConfigurer;
 20 import org.springframework.security.oauth2.config.annotation.web.configurers.ResourceServerSecurityConfigurer;
 21 import org.springframework.security.oauth2.provider.token.DefaultTokenServices;
 22 import org.springframework.security.oauth2.provider.token.store.redis.RedisTokenStore;
 23 
 24 import java.util.concurrent.TimeUnit;
 25 
 26 
 27 
 28 /**
 29  * @author Zhifeng.Zeng
 30  * @description OAuth2服务器配置
 31  */
 32 @Configuration
 33 public class OAuth2Config {
 34 
 35     public static final String ROLE_ADMIN = "ADMIN";
 36     //访问客户端密钥
 37     public static final String CLIENT_SECRET = "123456";
 38     //访问客户端ID
 39     public static final String CLIENT_ID ="client_1";
 40     //鉴权模式
 41     public static final String GRANT_TYPE[] = {"password","refresh_token"};
 42 
 43     /**
 44      * @description 资源服务器
 45      */
 46     @Configuration
 47     @EnableResourceServer
 48     protected static class ResourceServerConfiguration extends ResourceServerConfigurerAdapter {
 49 
 50         @Autowired
 51         private CustomAuthExceptionHandler customAuthExceptionHandler;
 52 
 53         @Override
 54         public void configure(ResourceServerSecurityConfigurer resources) {
 55             resources.stateless(false)
 56                     .accessDeniedHandler(customAuthExceptionHandler)
 57                     .authenticationEntryPoint(customAuthExceptionHandler);
 58         }
 59 
 60         @Override
 61         public void configure(HttpSecurity http) throws Exception {
 62             http.sessionManagement().sessionCreationPolicy(SessionCreationPolicy.IF_REQUIRED)
 63                     .and()
 64                     //请求权限配置
 65                     .authorizeRequests()
 66                     //下边的路径放行,不需要经过认证
 67                     .antMatchers("/oauth/*", "/auth/user/login").permitAll()
 68                     //OPTIONS请求不需要鉴权
 69                     .antMatchers(HttpMethod.OPTIONS, "/**").permitAll()
 70                     //用户的增删改接口只允许管理员访问
 71                     .antMatchers(HttpMethod.POST, "/auth/user").hasAnyAuthority(ROLE_ADMIN)
 72                     .antMatchers(HttpMethod.PUT, "/auth/user").hasAnyAuthority(ROLE_ADMIN)
 73                     .antMatchers(HttpMethod.DELETE, "/auth/user").hasAnyAuthority(ROLE_ADMIN)
 74                     //获取角色 权限列表接口只允许系统管理员及高级用户访问
 75                     .antMatchers(HttpMethod.GET, "/auth/role").hasAnyAuthority(ROLE_ADMIN)
 76                     //其余接口没有角色限制，但需要经过认证，只要携带token就可以放行
 77                     .anyRequest()
 78                     .authenticated();
 79 
 80         }
 81     }
 82 
 83     /**
 84      * @description 认证授权服务器
 85      */
 86     @Configuration
 87     @EnableAuthorizationServer
 88     protected static class AuthorizationServerConfiguration extends AuthorizationServerConfigurerAdapter {
 89 
 90         @Autowired
 91         private AuthenticationManager authenticationManager;
 92 
 93         @Autowired
 94         private RedisConnectionFactory connectionFactory;
 95 
 96         @Override
 97         public void configure(ClientDetailsServiceConfigurer clients) throws Exception {
 98             String finalSecret = "{bcrypt}" + new BCryptPasswordEncoder().encode(CLIENT_SECRET);
 99             //配置客户端，使用密码模式验证鉴权
100             clients.inMemory()
101                     .withClient(CLIENT_ID)
102                     //密码模式及refresh_token模式
103                     .authorizedGrantTypes(GRANT_TYPE[0], GRANT_TYPE[1])
104                     .scopes("all")
105                     .secret(finalSecret);
106         }
107 
108         @Bean
109         public RedisTokenStore redisTokenStore() {
110             return new RedisTokenStore(connectionFactory);
111         }
112 
113         /**
114          * @description token及用户信息存储到redis，当然你也可以存储在当前的服务内存，不推荐
115          * @param endpoints
116          */
117         @Override
118         public void configure(AuthorizationServerEndpointsConfigurer endpoints) {
119             //token信息存到服务内存
120             /*endpoints.tokenStore(new InMemoryTokenStore())
121                     .authenticationManager(authenticationManager);*/
122 
123             //token信息存到redis
124             endpoints.tokenStore(redisTokenStore()).authenticationManager(authenticationManager);
125             //配置TokenService参数
126             DefaultTokenServices tokenService = new DefaultTokenServices();
127             tokenService.setTokenStore(endpoints.getTokenStore());
128             tokenService.setSupportRefreshToken(true);
129             tokenService.setClientDetailsService(endpoints.getClientDetailsService());
130             tokenService.setTokenEnhancer(endpoints.getTokenEnhancer());
131             //1小时
132             tokenService.setAccessTokenValiditySeconds((int) TimeUnit.HOURS.toSeconds(1));
133             //1小时
134             tokenService.setRefreshTokenValiditySeconds((int) TimeUnit.HOURS.toSeconds(1));
135             tokenService.setReuseRefreshToken(false);
136             endpoints.tokenServices(tokenService);
137         }
138 
139         @Override
140         public void configure(AuthorizationServerSecurityConfigurer oauthServer) {
141             //允许表单认证
142             oauthServer.allowFormAuthenticationForClients().tokenKeyAccess("isAuthenticated()")
143                     .checkTokenAccess("permitAll()");
144         }
145     }
146 }

　　这里有个点要强调一下，就是上面的CustomAuthExceptionHandler ，这是一个自定义返回异常处理。要知道oauth2在登录时用户密码不正确或者权限不足时，oauth2内部携带的Endpoint处理，会默认返回401并且携带的message是它内部默认的英文，例如像这种:

感觉就很不友好，所以我这里自己去处理AuthException并返回自己想要的数据及数据格式给客户端。

CustomAuthExceptionHandler代码如下:

 1 package com.unionman.humancar.handler;
 2 
 3 import com.alibaba.fastjson.JSON;
 4 import com.unionman.humancar.enums.ResponseEnum;
 5 import com.unionman.humancar.vo.ResponseVO;
 6 import lombok.extern.slf4j.Slf4j;
 7 import org.springframework.security.access.AccessDeniedException;
 8 import org.springframework.security.core.AuthenticationException;
 9 import org.springframework.security.oauth2.common.exceptions.InvalidTokenException;
10 import org.springframework.security.web.AuthenticationEntryPoint;
11 import org.springframework.security.web.access.AccessDeniedHandler;
12 import org.springframework.stereotype.Component;
13 
14 import javax.servlet.ServletException;
15 import javax.servlet.http.HttpServletRequest;
16 import javax.servlet.http.HttpServletResponse;
17 import java.io.IOException;
18 
19 /**
20  * @author Zhifeng.Zeng
21  * @description 自定义未授权 token无效 权限不足返回信息处理类
22  * @date 2019/3/4 15:49
23  */
24 @Component
25 @Slf4j
26 public class CustomAuthExceptionHandler implements AuthenticationEntryPoint, AccessDeniedHandler {
27     @Override
28     public void commence(HttpServletRequest request, HttpServletResponse response, AuthenticationException authException) throws IOException, ServletException {
29 
30         Throwable cause = authException.getCause();
31         response.setContentType("application/json;charset=UTF-8");
32         response.setStatus(HttpServletResponse.SC_UNAUTHORIZED);
33         // CORS "pre-flight" request
34         response.addHeader("Access-Control-Allow-Origin", "*");
35         response.addHeader("Cache-Control","no-cache");
36         response.addHeader("Access-Control-Allow-Methods", "GET, POST, PUT, DELETE, OPTIONS");
37         response.setHeader("Access-Control-Allow-Headers", "x-requested-with");
38         response.addHeader("Access-Control-Max-Age", "1800");
39         if (cause instanceof InvalidTokenException) {
40             log.error("InvalidTokenException : {}",cause.getMessage());
41             //Token无效
42             response.getWriter().write(JSON.toJSONString(ResponseVO.error(ResponseEnum.ACCESS_TOKEN_INVALID)));
43         } else {
44             log.error("AuthenticationException : NoAuthentication");
45             //资源未授权
46             response.getWriter().write(JSON.toJSONString(ResponseVO.error(ResponseEnum.UNAUTHORIZED)));
47         }
48 
49     }
50 
51     @Override
52     public void handle(HttpServletRequest request, HttpServletResponse response, AccessDeniedException accessDeniedException) throws IOException, ServletException {
53         response.setContentType("application/json;charset=UTF-8");
54         response.setStatus(HttpServletResponse.SC_UNAUTHORIZED);
55         response.addHeader("Access-Control-Allow-Origin", "*");
56         response.addHeader("Cache-Control","no-cache");
57         response.addHeader("Access-Control-Allow-Methods", "GET, POST, PUT, DELETE, OPTIONS");
58         response.setHeader("Access-Control-Allow-Headers", "x-requested-with");
59         response.addHeader("Access-Control-Max-Age", "1800");
60         //访问资源的用户权限不足
61         log.error("AccessDeniedException : {}",accessDeniedException.getMessage());
62         response.getWriter().write(JSON.toJSONString(ResponseVO.error(ResponseEnum.INSUFFICIENT_PERMISSIONS)));
63     }
64 }

Spring Security

　　这里security主要承担的角色是，用户资源管理，简单地说就是，在客户端发送登录请求的时候，security会将先去根据用户输入的用户名和密码，去查数据库，如果匹配，那么就把相应的用户信息进行一层转换，然后交给认证授权管理器，然后认证授权管理器会根据相应的用户，给他分发一个token(令牌)，然后下次进行请求的时候，携带着该token(令牌)，认证授权管理器就能根据该token(令牌)去找到相应的用户了。

SecurityConfig代码如下：

 1 package com.unionman.springbootsecurityauth2.config;
 2 
 3 import com.unionman.springbootsecurityauth2.domain.CustomUserDetail;
 4 import com.unionman.springbootsecurityauth2.entity.User;
 5 import com.unionman.springbootsecurityauth2.repository.UserRepository;
 6 import lombok.extern.slf4j.Slf4j;
 7 import org.springframework.beans.factory.annotation.Autowired;
 8 import org.springframework.context.annotation.Bean;
 9 import org.springframework.context.annotation.Configuration;
10 import org.springframework.security.authentication.AuthenticationManager;
11 import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
12 import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;
13 import org.springframework.security.core.GrantedAuthority;
14 import org.springframework.security.core.authority.AuthorityUtils;
15 import org.springframework.security.core.userdetails.UserDetails;
16 import org.springframework.security.core.userdetails.UserDetailsService;
17 import org.springframework.security.core.userdetails.UsernameNotFoundException;
18 import org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder;
19 import org.springframework.security.crypto.factory.PasswordEncoderFactories;
20 import org.springframework.security.crypto.password.PasswordEncoder;
21 import org.springframework.web.client.RestTemplate;
22 
23 import java.util.List;
24 
25 /**
26  * @description Security核心配置
27  * @author Zhifeng.Zeng
28  */
29 @Configuration
30 @EnableWebSecurity
31 @Slf4j
32 public class SecurityConfig extends WebSecurityConfigurerAdapter {
33 
34 
35     @Autowired
36     private UserRepository userRepository;
37 
38     @Bean
39     @Override
40     public AuthenticationManager authenticationManagerBean() throws Exception {
41         return super.authenticationManagerBean();
42     }
43 
44     @Bean
45     public RestTemplate restTemplate(){
46         return new RestTemplate();
47     }
48 
49     @Bean
50     @Override
51     protected UserDetailsService userDetailsService() {
52         BCryptPasswordEncoder bCryptPasswordEncoder = new BCryptPasswordEncoder();
53        return new UserDetailsService(){
54            @Override
55            public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
56                log.info("username:{}",username);
57                User user = userRepository.findUserByAccount(username);
58                if(user != null){
59                    CustomUserDetail customUserDetail = new CustomUserDetail();
60                    customUserDetail.setUsername(user.getAccount());
61                    customUserDetail.setPassword("{bcrypt}"+bCryptPasswordEncoder.encode(user.getPassword()));
62                    List<GrantedAuthority> list = AuthorityUtils.createAuthorityList(user.getRole().getRole());
63                    customUserDetail.setAuthorities(list);
64                    return customUserDetail;
65                }else {//返回空
66                    return null;
67                }
68 
69            }
70        };
71     }
72 
73     @Bean
74     PasswordEncoder passwordEncoder() {
75         return PasswordEncoderFactories.createDelegatingPasswordEncoder();
76     }
77 }

业务逻辑

　　这里我只简单地实现了用户的增删改查以及用户登录的业务逻辑。并没有做太深的业务处理，主要是重点看一下登录的业务逻辑。里面引了几个组件，简单说一下，RestTemplate(http客户端)用于发送http请求，ServerConfig(服务配置)用于获取本服务的ip和端口，RedisUtil(redis工具类) 用户对redis进行缓存的增删改查操作。

UserServiceImpl代码如下:

package com.unionman.springbootsecurityauth2.service.impl;

import com.unionman.springbootsecurityauth2.config.ServerConfig;
import com.unionman.springbootsecurityauth2.domain.Token;
import com.unionman.springbootsecurityauth2.dto.LoginUserDTO;
import com.unionman.springbootsecurityauth2.dto.UserDTO;
import com.unionman.springbootsecurityauth2.entity.Role;
import com.unionman.springbootsecurityauth2.entity.User;
import com.unionman.springbootsecurityauth2.enums.ResponseEnum;
import com.unionman.springbootsecurityauth2.enums.UrlEnum;
import com.unionman.springbootsecurityauth2.repository.UserRepository;
import com.unionman.springbootsecurityauth2.service.RoleService;
import com.unionman.springbootsecurityauth2.service.UserService;
import com.unionman.springbootsecurityauth2.utils.BeanUtils;
import com.unionman.springbootsecurityauth2.utils.RedisUtil;
import com.unionman.springbootsecurityauth2.vo.LoginUserVO;
import com.unionman.springbootsecurityauth2.vo.ResponseVO;
import com.unionman.springbootsecurityauth2.vo.RoleVO;
import com.unionman.springbootsecurityauth2.vo.UserVO;
import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.stereotype.Service;
import org.springframework.transaction.annotation.Transactional;
import org.springframework.util.LinkedMultiValueMap;
import org.springframework.util.MultiValueMap;
import org.springframework.web.client.RestClientException;
import org.springframework.web.client.RestTemplate;

import java.util.ArrayList;
import java.util.List;
import java.util.concurrent.TimeUnit;

import static com.unionman.springbootsecurityauth2.config.OAuth2Config.CLIENT_ID;
import static com.unionman.springbootsecurityauth2.config.OAuth2Config.CLIENT_SECRET;
import static com.unionman.springbootsecurityauth2.config.OAuth2Config.GRANT_TYPE;

@Service
public class UserServiceImpl implements UserService {

    @Autowired
    private UserRepository userRepository;

    @Autowired
    private RoleService roleService;

    @Autowired
    private RestTemplate restTemplate;

    @Autowired
    private ServerConfig serverConfig;

    @Autowired
    private RedisUtil redisUtil;

    @Override
    @Transactional(rollbackFor = Exception.class)
    public void addUser(UserDTO userDTO)  {
        User userPO = new User();
        User userByAccount = userRepository.findUserByAccount(userDTO.getAccount());
        if(userByAccount != null){
            //此处应该用自定义异常去返回，在这里我就不去具体实现了
            try {
                throw new Exception("This user already exists!");
            } catch (Exception e) {
                e.printStackTrace();
            }
        }
        userPO.setCreatedTime(System.currentTimeMillis());
        //添加用户角色信息
        Role rolePO = roleService.findById(userDTO.getRoleId());
        userPO.setRole(rolePO);
        BeanUtils.copyPropertiesIgnoreNull(userDTO,userPO);
        userRepository.save(userPO);
    }

    @Override
    @Transactional(rollbackFor = Exception.class)
    public void deleteUser(Integer id)  {
        User userPO = userRepository.findById(id).get();
        if(userPO == null){
            //此处应该用自定义异常去返回，在这里我就不去具体实现了
            try {
                throw new Exception("This user not exists!");
            } catch (Exception e) {
                e.printStackTrace();
            }
        }
        userRepository.delete(userPO);
    }

    @Override
    @Transactional(rollbackFor = Exception.class)
    public void updateUser(UserDTO userDTO) {
        User userPO = userRepository.findById(userDTO.getId()).get();
        if(userPO == null){
            //此处应该用自定义异常去返回，在这里我就不去具体实现了
            try {
                throw new Exception("This user not exists!");
            } catch (Exception e) {
                e.printStackTrace();
            }
        }
        BeanUtils.copyPropertiesIgnoreNull(userDTO, userPO);
        //修改用户角色信息
        Role rolePO = roleService.findById(userDTO.getRoleId());
        userPO.setRole(rolePO);
        userRepository.saveAndFlush(userPO);
    }

    @Override
    public ResponseVO<List<UserVO>> findAllUserVO() {
        List<User> userPOList = userRepository.findAll();
        List<UserVO> userVOList = new ArrayList<>();
        userPOList.forEach(userPO->{
            UserVO userVO = new UserVO();
            BeanUtils.copyPropertiesIgnoreNull(userPO,userVO);
            RoleVO roleVO = new RoleVO();
            BeanUtils.copyPropertiesIgnoreNull(userPO.getRole(),roleVO);
            userVO.setRole(roleVO);
            userVOList.add(userVO);
        });
        return ResponseVO.success(userVOList);
    }

    @Override
    public ResponseVO login(LoginUserDTO loginUserDTO) {
        MultiValueMap<String, Object> paramMap = new LinkedMultiValueMap<>();
        paramMap.add("client_id", CLIENT_ID);
        paramMap.add("client_secret", CLIENT_SECRET);
        paramMap.add("username", loginUserDTO.getAccount());
        paramMap.add("password", loginUserDTO.getPassword());
        paramMap.add("grant_type", GRANT_TYPE[0]);
        Token token = null;
        try {
            //因为oauth2本身自带的登录接口是"/oauth/token"，并且返回的数据类型不能按我们想要的去返回
            //但是我的业务需求是，登录接口是"user/login"，由于我没研究过要怎么去修改oauth2内部的endpoint配置
            //所以这里我用restTemplate(HTTP客户端)进行一次转发到oauth2内部的登录接口，比较简单粗暴
            token = restTemplate.postForObject(serverConfig.getUrl() + UrlEnum.LOGIN_URL.getUrl(), paramMap, Token.class);
            LoginUserVO loginUserVO = redisUtil.get(token.getValue(), LoginUserVO.class);
            if(loginUserVO != null){
                //登录的时候，判断该用户是否已经登录过了
                //如果redis里面已经存在该用户已经登录过了的信息
                //我这边要刷新一遍token信息，不然，它会返回上一次还未过时的token信息给你
                //不便于做单点维护
                token = oauthRefreshToken(loginUserVO.getRefreshToken());
                redisUtil.deleteCache(loginUserVO.getAccessToken());
            }
        } catch (RestClientException e) {
            try {
                e.printStackTrace();
                //此处应该用自定义异常去返回，在这里我就不去具体实现了
                //throw new Exception("username or password error");
            } catch (Exception e1) {
                e1.printStackTrace();
            }
        }
        //这里我拿到了登录成功后返回的token信息之后，我再进行一层封装，最后返回给前端的其实是LoginUserVO
        LoginUserVO loginUserVO = new LoginUserVO();
        User userPO = userRepository.findUserByAccount(loginUserDTO.getAccount());
        BeanUtils.copyPropertiesIgnoreNull(userPO, loginUserVO);
        loginUserVO.setPassword(userPO.getPassword());
        loginUserVO.setAccessToken(token.getValue());
        loginUserVO.setAccessTokenExpiresIn(token.getExpiresIn());
        loginUserVO.setAccessTokenExpiration(token.getExpiration());
        loginUserVO.setExpired(token.isExpired());
        loginUserVO.setScope(token.getScope());
        loginUserVO.setTokenType(token.getTokenType());
        loginUserVO.setRefreshToken(token.getRefreshToken().getValue());
        loginUserVO.setRefreshTokenExpiration(token.getRefreshToken().getExpiration());
        //存储登录的用户
        redisUtil.set(loginUserVO.getAccessToken(),loginUserVO,TimeUnit.HOURS.toSeconds(1));
        return ResponseVO.success(loginUserVO);
    }

    /**
     * @description oauth2客户端刷新token
     * @param refreshToken
     * @date 2019/03/05 14:27:22
     * @author Zhifeng.Zeng
     * @return
     */
    private Token oauthRefreshToken(String refreshToken) {
        MultiValueMap<String, Object> paramMap = new LinkedMultiValueMap<>();
        paramMap.add("client_id", CLIENT_ID);
        paramMap.add("client_secret", CLIENT_SECRET);
        paramMap.add("refresh_token", refreshToken);
        paramMap.add("grant_type", GRANT_TYPE[1]);
        Token token = null;
        try {
            token = restTemplate.postForObject(serverConfig.getUrl() + UrlEnum.LOGIN_URL.getUrl(), paramMap, Token.class);
        } catch (RestClientException e) {
            try {
                //此处应该用自定义异常去返回，在这里我就不去具体实现了
                throw new Exception(ResponseEnum.REFRESH_TOKEN_INVALID.getMessage());
            } catch (Exception e1) {
                e1.printStackTrace();
            }
        }
        return token;
    }


}

示例

　　这里我使用postman(接口测试工具)去对接口做一些简单的测试。

(1)这里我去发送一个获取用户列表的请求:

结果可以看到，由于没有携带token信息，所以返回了如下信息。

(2)接下来，我们先去登录。

登录成功后，这里会返回一系列信息，记住这个token信息，待会我们尝试使用这个token信息再次请求上面那个获取用户列表接口。

(3)携带token去获取用户列表

可以看到，可以成功拿到接口返回的资源(用户的列表信息)啦。

(4)这里测试一下，用户注销的接口。用户注销，会把redis里的token信息全部清除。

可以看到，注销成功了。那么我们再用这个已经被注销的token再去请求一遍那个获取用户列表接口。

很显然，此时已经报token无效了。

　　接下来，我们对角色的资源分配管理进行一个测试。可以看到我们库里面，项目初始化的时候，就已经创建了一个管理员，我们上面配置已经规定，管理员是拥有所有接口的访问权限的，而普通用户却只有查询权限。我们现在就来测试一下这个效果。

（1）首先我使用该管理员去添加一个普通用户。

可以看到，我们返回了添加成功信息了，那么我去查看一下用户列表。

很显然，现在这个用户已经成功添加进去了。

(2)接下来，我们用新添加的用户去登录一下该系统。

该用户也登录成功了，我们先保存这个token。

(3)我们现在携带着刚才登录的普通用户"小王"的token去添加一个普通用户。

可以看到，由于"小王"是普通用户，所以是不具备添加用户的权限的。

(4)那么我们现在用"小王"这个用户去查询一下用户列表。

可以看到，"小王"这个普通用户是拥有查询用户列表接口的权限的。

总结

　　基于Springboot集成security、oauth2实现认证鉴权、资源管理的博文就到这了。描述得其实已经较为详细了，具体代码的示例也给了相关的注释。基本上都是以最简单最基本的方式去做的一个整合Demo。一般实际应用场景里，业务会比较复杂，其中还会有，修改密码，重置密码，主动延时token时长，加密解密等等。这些就根据自己的业务需求去做相应的处理了，基本上的操作都是针对redis去做，因为token相关信息都是存储在redis的。

　　具体源码我已经上传到github：https://github.com/githubzengzhifeng/springboot-security-oauth2

发表于 2019-04-22 16:37 丰哥坑到阅读(37771) 评论(1) 编辑收藏举报